Common Criteria (ISO/IEC 15408) : EAL, CCRA, EUCC
Les Common Criteria for Information Technology Security Evaluation (CC) sont publiés deux fois : par l'ISO/IEC sous la forme de la série ISO/IEC 15408 (première édition en 1999) avec la méthodologie associée ISO/IEC 18045 (CEM), et par les pays du Common Criteria Recognition Arrangement (CCRA) sous le nom CC:2022 et CEM:2022. L'année 2026 a changé plusieurs choses à la fois : l'ISO a publié en avril et mai de nouvelles éditions de toutes les parties, SOG-IS a cessé d'émettre des certificats le 27 février 2026 après la reprise par le schéma européen EUCC, et le Cyber Resilience Act renvoie désormais aux certificats européens pour ses produits critiques. Ce guide reprend chaque point depuis les textes : éditions et dates de transition, paquets EAL composant par composant, ce que le CCRA reconnaît réellement, la liste actuelle des membres, les règles EUCC, et les affirmations qui ne résistent pas à la lecture des sources. Cadres connexes : CRA, RED 3.3, EN 303 645.
Dates clés
Section intitulée « Dates clés »| Date | Événement | Source |
|---|---|---|
| 8 septembre 2014 | Ratification du texte actuel du CCRA (daté du 2 juillet 2014) | CCRA |
| 9 août 2022 | Publication d'ISO/IEC 15408-1:2022 (édition 4) | Catalogue IEC |
| Novembre 2022 | Publication de CC:2022 Release 1 et CEM:2022 par le CCRA | Avant-propos de CC:2022 Partie 1 |
| 20 avril 2023 | Politique de transition du CCRA vers CC:2022 (CCMC-2023-04-001) | Politique de transition |
| 27 février 2024 | Entrée en vigueur du règlement EUCC (UE) 2024/482 (JO du 7 février 2024, plus 20 jours) | Art. 50 |
| 30 juin 2024 | Dernière date de démarrage d'une évaluation initiale selon CC v3.1 Release 5 | Politique de transition |
| 8 janvier 2025 | Entrée en vigueur de la première modification de l'EUCC, règlement (UE) 2024/3144 | Règl. 2024/3144 |
| 27 février 2025 | Application de l'EUCC ; les schémas CC nationaux couverts par l'EUCC cessent de produire leurs effets | Art. 49, paragraphe 1, et art. 50 |
| 19 mars 2025 | Publication de la procédure de coexistence CCRA et EUCC (CCMC-011) | CCMC-011 |
| 31 décembre 2025 | Dernière date de démarrage d'une certification produit CC v3.1 R5 contre un PP exigeant la conformité exacte | Politique de transition |
| 29 décembre 2025 | Entrée en vigueur de la deuxième modification de l'EUCC, règlement (UE) 2025/2462 | Règl. 2025/2462 |
| 27 février 2026 | Date limite pour achever les certifications nationales engagées avant le 27 février 2025 ; SOG-IS cesse d'émettre des certificats | Art. 49, paragraphe 2, site SOG-IS |
| 28 avril 2026 | Publication d'ISO/IEC 15408-5:2026 (édition 2) | Catalogue IEC |
| 19 mai 2026 | Publication d'ISO/IEC 15408-1, -2, -3 (édition 5), -4 (édition 2) et d'ISO/IEC 18045:2026 (édition 4) ; éditions 2022 retirées | Catalogue IEC |
| 11 juin 2026 | Application du chapitre IV du CRA (notification des organismes d'évaluation de la conformité) | CRA art. 71 |
| 11 septembre 2026 | Application des obligations de signalement du CRA (article 14) | CRA art. 71 |
| 11 décembre 2027 | Application complète du CRA | CRA art. 71 |
| 31 décembre 2027 | Dernière date pour une Security Target CC:2022 revendiquant un Protection Profile CC v3.1 | Politique de transition |
Une norme, deux publications
Section intitulée « Une norme, deux publications »Éditions ISO/IEC
Section intitulée « Éditions ISO/IEC »Le catalogue IEC recense cinq éditions d'ISO/IEC 15408-1 : 1999, 2005, 2009, 2022 et 2026. La série 2022 est la première à compter cinq parties, et l'avant-propos de CC:2022 explique pourquoi : CC:2022 et CEM:2022 ont d'abord été élaborés comme normes ISO/IEC, puis publiés par le CCRA comme nouvelle version. Les versions antérieures suivaient le chemin inverse, des pays du CCRA vers l'ISO. Les parties 4 et 5 sont nouvelles en 2022 ; la partie 5 reprend les sections consacrées aux paquets dans la partie 3 de CC v3.1 Release 5.
| Partie | Titre | Édition 2022 | Édition 2026 |
|---|---|---|---|
| ISO/IEC 15408-1 | Introduction et modèle général | Éd. 4, 9 août 2022 (retirée le 19 mai 2026) | Éd. 5, 19 mai 2026 |
| ISO/IEC 15408-2 | Composants fonctionnels de sécurité | 2022 | Éd. 5, 19 mai 2026 |
| ISO/IEC 15408-3 | Composants d'assurance de sécurité | 2022 | Éd. 5, 19 mai 2026 |
| ISO/IEC 15408-4 | Cadre de spécification des méthodes et activités d'évaluation | 2022 (nouvelle partie) | Éd. 2, 19 mai 2026 |
| ISO/IEC 15408-5 | Paquets prédéfinis d'exigences de sécurité | 2022 (nouvelle partie) | Éd. 2, 28 avril 2026 |
| ISO/IEC 18045 | Méthodologie d'évaluation de la sécurité IT (titre 2026 : exigences et méthodologie pour l'évaluation de la sécurité IT) | 2022 | Éd. 4, 19 mai 2026 |
Version CCRA et transition
Section intitulée « Version CCRA et transition »La page des publications du Common Criteria Portal, consultée le 7 octobre 2026, liste CC:2022 Release 1 (cinq parties), CEM:2022, et les errata et interprétations jusqu'à la version 1.2, dont elle indique l'application obligatoire. Elle ne liste aucune version CCRA alignée sur les éditions ISO 2026. La politique de transition du CCRA du 20 avril 2023 organise la sortie de CC v3.1 :
- CC v3.1 Release 5 est la dernière révision de la v3.1. Les évaluations initiales sur v3.1 R5 pouvaient démarrer jusqu'au 30 juin 2024.
- Les certifications produit sur v3.1 R5 contre un PP ou une PP-Configuration exigeant la conformité exacte pouvaient démarrer jusqu'au 31 décembre 2025.
- Après le 30 juin 2024, les réévaluations et réexamens fondés sur des évaluations v3.1 peuvent démarrer pendant 2 ans à compter de la date de certification initiale.
- Une Security Target CC:2022 peut revendiquer un Protection Profile CC v3.1 jusqu'au 31 décembre 2027.
- Une certification CC:2022 peut réutiliser des résultats ALC v3.1 R5 et des certificats de plateforme v3.1 R5 en composition.
Le portail rappelle aussi la déclaration du CCRA selon laquelle les niveaux d'assurance définis dans les différentes versions des critères sont équivalents pour la composition.
Ce qui a changé avec CC:2022
Section intitulée « Ce qui a changé avec CC:2022 »L'avant-propos de CC:2022 Partie 1 liste les changements par rapport à la v3.1 : la conformité exacte comme troisième type de conformité, la suppression des Protection Profiles à faible assurance et l'introduction des PP à justification directe, l'évaluation multi-assurance, la composition d'assurance, de nouvelles exigences fonctionnelles et d'assurance, et les deux nouvelles parties. La partie 2 regroupe les classes fonctionnelles FAU, FCO, FCS, FDP, FIA, FMT, FPR, FPT, FRU, FTA et FTP. La partie 3 contient les classes d'assurance pour l'évaluation des Protection Profiles (APE, ACE pour les PP-Configurations), l'évaluation de la Security Target (ASE), le développement (ADV), les guides (AGD), le cycle de vie (ALC), les tests (ATE), l'estimation des vulnérabilités (AVA) et la composition (ACO).
Objets de l'évaluation : TOE, TSF, ST, PP, cPP
Section intitulée « Objets de l'évaluation : TOE, TSF, ST, PP, cPP »Target of Evaluation (TOE). Le produit ou la partie de produit évaluée : matériel, logiciel, micrologiciel ou combinaison. Le règlement EUCC la définit comme un produit TIC ou une partie de celui-ci, ou un profil de protection dans le cadre d'un processus TIC. Son périmètre fixe ce que couvre le certificat ; le règlement EUCC impose que le certificat ou le rapport de certification indique si tout le produit ou seulement certaines parties ont été certifiés (article 10, paragraphe 2).
TOE Security Functionality (TSF). Les parties de la TOE qui mettent en œuvre les exigences fonctionnelles de sécurité. L'analyse de conception, les tests et l'analyse de vulnérabilités portent sur la TSF.
Security Target (ST). Le document propre au produit : description de la TOE, définition du problème de sécurité (menaces, politiques de sécurité organisationnelles, hypothèses), objectifs de sécurité, exigences fonctionnelles (SFR), exigences d'assurance (SAR), spécification globale de la TOE et argumentaire qui les relie. La classe d'évaluation de la ST (ASE) fait partie de chaque paquet EAL.
Protection Profile (PP). Des exigences indépendantes de toute implémentation pour une catégorie de produits. CC:2022 Partie 1 définit trois manières de s'y conformer : exacte (la ST reprend à l'identique la définition du problème de sécurité, les objectifs et les SFR du PP, seules les affectations et sélections étant résolues), stricte (un sur-ensemble du PP, dont les nouvelles hypothèses ne l'affaiblissent pas) et démontrable (des énoncés équivalents à un tel sur-ensemble, permise seulement si le PP l'autorise). La partie 5 précise qu'un EAL ne peut pas être augmenté dans une ST revendiquant une conformité exacte.
collaborative Protection Profile (cPP). Un PP élaboré par une International Technical Community (iTC) reconnue par le Management Committee du CCRA. L'annexe K du CCRA limite les composants d'assurance d'un cPP à EAL 2, sauf si l'iTC démontre que des activités jusqu'à EAL 4 inclus sont reproductibles d'un schéma à l'autre. Le portail liste des iTC et des positions pour les logiciels applicatifs, la sécurité biométrique, les systèmes de gestion de bases de données, les composants de sécurité dédiés, le chiffrement complet de disque, les périphériques d'impression, les fondamentaux des équipements réseau et pare-feu, les supports de stockage USB portables, et les CC dans le cloud.
| Niveau | Document | Spécifique au produit | Rôle |
|---|---|---|---|
| Cadre normatif | ISO/IEC 15408 (parties 1 à 5) et ISO/IEC 18045, ou CC:2022 et CEM:2022 | Non | Critères et méthodologie |
| Catégorie de produits | PP, PP-Module, PP-Configuration, cPP | Non | Exigences pour une catégorie |
| Produit | Security Target (ST) | Oui | Exigences et revendications de la TOE |
| Implémentation | Target of Evaluation (TOE) | Oui | Ce qui est évalué |
| Fonctions évaluées | TSF | Oui | Parties de la TOE qui réalisent les SFR |
EAL 1 à EAL 7, composant par composant
Section intitulée « EAL 1 à EAL 7, composant par composant »Les sept Evaluation Assurance Levels sont des paquets définis dans CC:2022 Partie 5 (ISO/IEC 15408-5). Chaque EAL supérieur substitue un composant hiérarchiquement supérieur ou ajoute une famille. Ils mesurent la profondeur de l'évaluation, pas la robustesse du produit. Le tableau reprend les noms et les composants les plus différenciants du tableau 1 de CC:2022 Partie 5, le potentiel d'attaque tiré de la description de chaque paquet, et le niveau EUCC de l'article 4 du règlement (UE) 2024/482.
| EAL | Nom CC:2022 | ADV_FSP | ADV_TDS | ADV_IMP | ADV_SPM | ALC_DVS | AVA_VAN | Attaquant auquel l'analyse résiste | Niveau EUCC |
|---|---|---|---|---|---|---|---|---|---|
| EAL 1 | Functionally tested | 1 | aucun | aucun | aucun | aucun | 1 | recherche de vulnérabilités publiques, tests indépendants | substantiel |
| EAL 2 | Structurally tested | 2 | 1 | aucun | aucun | aucun | 2 | potentiel d'attaque de base | substantiel |
| EAL 3 | Methodically tested and checked | 3 | 2 | aucun | aucun | 1 | 2 | potentiel d'attaque de base | substantiel |
| EAL 4 | Methodically designed, tested and reviewed | 4 | 3 | 1 | aucun | 1 | 3 | potentiel d'attaque Enhanced-Basic | élevé |
| EAL 5 | Semi-formally verified designed and tested | 5 | 4 | 1 | aucun | 1 | 4 | potentiel d'attaque modéré | élevé |
| EAL 6 | Semi-formally verified design and tested | 5 | 5 | 2 | 1 | 2 | 5 | potentiel d'attaque élevé | élevé |
| EAL 7 | Formally verified design and tested | 6 | 6 | 2 | 1 | 2 | 5 | potentiel d'attaque élevé | élevé |
Points tirés des descriptions des paquets :
- EAL 1 peut être conduit sans l'assistance du développeur de la TOE et ne demande qu'une ST limitée.
- EAL 4 est, selon la partie 5, le niveau le plus élevé qu'il est vraisemblablement économique d'appliquer a posteriori à une gamme de produits existante.
- EAL 5 ajoute des descriptions de conception semi-formelles et une TSF modulaire. Il n'y a pas de modèle formel à EAL 5 : le modèle formel de politique de sécurité (ADV_SPM.1) n'apparaît qu'à EAL 6.
- EAL 7 : son application pratique est, selon la partie 5, actuellement limitée aux cibles dont la fonctionnalité de sécurité est étroitement délimitée et se prête à une analyse formelle poussée.
Augmentation
Section intitulée « Augmentation »La partie 5 n'autorise l'augmentation que pour les paquets EAL, par ajout de composants de familles absentes du paquet ou par substitution d'un composant supérieur. « EAL moins un composant » n'est pas une revendication valide. La partie 5 note qu'ALC_FLR (correction des défauts) et ALC_TDA servent souvent d'augmentation bien qu'ils ne figurent dans aucun EAL. Les évaluations de cartes à puce et dispositifs similaires ajoutent couramment AVA_VAN.5 et ALC_DVS.2 : par exemple, le CCC Digital Key Applet Protection Profile 2.0, certifié par l'Allemagne en 2025, figure sur le portail avec « EAL4+ ALC_DVS.2 ALC_FLR.2 AVA_VAN.5 ».
Évaluation et certification
Section intitulée « Évaluation et certification »Un projet CC implique le commanditaire (en général le développeur), un centre d'évaluation (ITSEF, appelé CCTL aux États-Unis) et un organisme de certification. Dans le CCRA, chaque pays émetteur exploite un organisme de certification ; dans l'EUCC, les organismes d'évaluation de la conformité sont accrédités (organisme de certification selon ISO/IEC 17065, ITSEF selon ISO/IEC 17025) et autorisés par l'autorité nationale de certification de cybersécurité (NCCA) pour le niveau « élevé ».
- Schéma et laboratoire. Le commanditaire choisit un schéma et un laboratoire agréé ou accrédité (et, pour l'EUCC « élevé », autorisé) pour la catégorie de produit.
- Security Target. Rédigée par le développeur ; son évaluation (ASE) fait partie de chaque paquet.
- Éléments de preuve. L'article 8 de l'EUCC impose au demandeur de fournir les éléments exigés par les CC et la CEM au niveau choisi, y compris le code source si nécessaire, ainsi qu'un lien vers ses informations de cybersécurité complémentaires et une description de ses procédures de gestion et de divulgation des vulnérabilités.
- Évaluation. Le laboratoire applique la CEM à chaque SAR et rédige l'Evaluation Technical Report (ETR).
- Certification. L'organisme de certification examine l'ETR et délivre le certificat et un rapport de certification. Dans l'EUCC, les deux sont transmis à la NCCA et à l'ENISA (article 10, paragraphe 5), et l'ENISA publie tous les certificats EUCC et leur statut (article 42).
- Après la certification. Dans le CCRA, la continuité d'assurance suit le document support CCDB-014 (version du 29 février 2024). Dans l'EUCC, le titulaire doit gérer les vulnérabilités (article 33, complété si nécessaire par EN ISO/IEC 30111) et l'organisme de certification peut réexaminer, suspendre ou retirer le certificat (articles 13 et 14).
CCRA : ce qui est reconnu
Section intitulée « CCRA : ce qui est reconnu »L'actuel Arrangement on the Recognition of Common Criteria Certificates est daté du 2 juillet 2014 et a été ratifié le 8 septembre 2014. Son article 2 limite la reconnaissance aux certificats revendiquant :
- un cPP, avec des activités d'assurance choisies parmi les niveaux jusqu'à EAL 4 inclus et ALC_FLR, élaboré par une iTC reconnue par le Management Committee ; ou
- EAL 1 à EAL 2 et ALC_FLR.2.
Un certificat qui revendique davantage est délivré quand même, mais l'annexe J du CCRA impose que son logo porte la mention « CCRA recognition for components up to EAL 2 and ALC_FLR only ». Un certificat EAL 4+ AVA_VAN.5 d'un pays n'est donc reconnu par les autres que jusqu'à EAL 2 plus ALC_FLR, avec ou sans cPP.
Membres au 7 octobre 2026
Section intitulée « Membres au 7 octobre 2026 »La page des membres du CCRA liste 18 membres émetteurs de certificats (authorizing) et 18 membres consommateurs (consuming).
| Membre émetteur | Schéma ou organisme (tel que listé) |
|---|---|
| Australie | Australian Information Security Evaluation Program (AISEP), Australian Cyber Security Centre |
| Canada | Canadian Common Criteria Scheme, Centre canadien pour la cybersécurité (CST) |
| France | ANSSI, Centre de certification |
| Allemagne | BSI, organisme de certification |
| Inde | Indian Common Criteria Certification Scheme (IC3S), STQC Directorate |
| Italie | OCSI, Agence nationale de cybersécurité (ACN) |
| Japon | JISEC, Information-technology Promotion Agency (IPA) |
| Malaisie | MyCC Scheme, CyberSecurity Malaysia |
| Pays-Bas | Dutch Authority for Digital Infrastructure |
| Norvège | SERTIT |
| Pologne | NASK National Research Institute |
| Qatar | Qatar Common Criteria Scheme, National Cyber Security Agency |
| République de Corée | IT Security Certification Center (ITSCC), National Security Research Institute |
| Singapour | Cyber Security Agency of Singapore |
| Espagne | Organisme de certification du CCN |
| Suède | CSEC, FMV |
| Turquie | TSE Common Criteria Certification Scheme |
| États-Unis | National Information Assurance Partnership (NIAP) |
Membres consommateurs : Autriche, Bangladesh, Belgique, Chypre, République tchèque, Danemark, Éthiopie, Finlande, Grèce, Hongrie, Indonésie, Israël, Jordanie, Nouvelle-Zélande, Pakistan, Slovaquie, Ukraine et Royaume-Uni, dont le schéma NCSC est listé comme consommateur. Le NIAP est le schéma des États-Unis exploité par la NSA, selon un communiqué de la NSA.
Coexistence CCRA et EUCC
Section intitulée « Coexistence CCRA et EUCC »Le Management Committee du CCRA a approuvé CCMC-011 le 17 février 2025 (publié le 19 mars 2025). Le document relève que l'EUCC permet des certifications par des organismes commerciaux sans supervision gouvernementale équivalente à celle du CCRA, et définit une supervision certificat par certificat, menée par le participant CCRA (en général la même organisation que la NCCA), qui permet à un certificat EUCC de porter aussi la marque CCRA. Sans cette marque, un certificat EUCC n'est pas un certificat CCRA.
SOG-IS : fermé aux nouveaux certificats
Section intitulée « SOG-IS : fermé aux nouveaux certificats »L'accord de reconnaissance mutuelle SOG-IS (MRA, version 3.0, janvier 2010) reconnaissait les certificats de EAL 1 à EAL 4 en général, et des niveaux d'assurance supérieurs, augmentations comprises, uniquement dans les domaines techniques convenus par son Management Committee. Deux domaines existaient : Smartcards and Similar Devices (sécurité matérielle au niveau de la puce : circuits de cartes à puce, produits composites, TPM, cartes tachygraphes) et Hardware Devices with Security Boxes (terminaux de paiement, unités embarquées de tachygraphe, compteurs intelligents, modules de sécurité matériels, par exemple). Ses participants étaient des organismes publics de pays de l'UE ou de l'AELE.
La page d'accueil SOG-IS indique désormais qu'à compter du 27 février 2026 SOG-IS cesse d'émettre des certificats et que le site n'est plus mis à jour. Cette date est la fin de la fenêtre prévue par l'article 49, paragraphe 2, du règlement EUCC. Le règlement EUCC reprend les deux domaines techniques à l'annexe I, leurs documents support devenant des documents état de l'art EUCC. En juin 2023, SOG-IS avait accepté CC:2022 et CEM:2022, dans leurs versions CCRA et ISO.
| Caractéristique | CCRA (2014) | SOG-IS MRA (v3.0, 2010) | EUCC (règl. 2024/482) |
|---|---|---|---|
| Nature | Arrangement entre États | Accord entre organismes publics de l'UE et de l'AELE | Règlement d'exécution de l'UE |
| Portée reconnue | EAL 1 à 2 et ALC_FLR.2, ou cPP (jusqu'à EAL 4 et ALC_FLR) | EAL 1 à 4 ; niveaux supérieurs dans les domaines techniques convenus | Deux niveaux : substantiel (AVA_VAN.1 à 2), élevé (AVA_VAN.3 à 5) |
| Qui certifie | Un organisme de certification par pays émetteur | Schémas nationaux | Organismes de certification accrédités ; autorisation NCCA pour « élevé » |
| Statut au 7 octobre 2026 | Actif, CC:2022 R1 | Plus de nouveaux certificats depuis le 27 février 2026 | Appliqué depuis le 27 février 2025, modifié deux fois |
Les règles EUCC utiles à une équipe produit
Section intitulée « Les règles EUCC utiles à une équipe produit »Le règlement d'exécution (UE) 2024/482 a été adopté le 31 janvier 2024 en application du Cybersecurity Act (UE) 2019/881. Il utilise les Common Criteria et la CEM tels que définis dans ISO/IEC 15408 et ISO/IEC 18045 (articles 2 et 3), sans dater les éditions.
| Article | Règle |
|---|---|
| 4 | Certificats au niveau « substantiel » (AVA_VAN.1 ou 2) ou « élevé » (AVA_VAN.3, 4 ou 5) |
| 5 | Certification contre la ST définie par le demandeur, ou intégrant un PP certifié |
| 6 | Pas d'autoévaluation de la conformité |
| 7, paragraphe 3 | AVA_VAN.4 ou 5 uniquement dans un domaine technique de l'annexe I (cartes à puce et dispositifs similaires ; dispositifs matériels avec boîtier de sécurité), sous un PP listé à l'annexe II (EN 419241-2:2019 et EN 419221-5:2018 pour les dispositifs de création de signature et de cachet qualifiés à distance dans le texte initial), ou par dérogation approuvée par la NCCA |
| 11 | Marque et label sur le produit avec niveau d'assurance, niveau AVA_VAN, identifiant du certificat et QR code vers un site d'information sur la validité |
| 12 | Durée de validité fixée par l'organisme de certification, 5 ans au plus sans accord de la NCCA |
| 17, paragraphe 4 | Protection Profiles certifiés uniquement par une NCCA ou un autre organisme public, ou par un organisme de certification avec accord de la NCCA pour chaque PP |
| 21 | Autorisation de l'organisme de certification pour « élevé » par la NCCA, avec une certification pilote |
| 33 | Gestion des vulnérabilités par le titulaire du certificat |
| 42 | L'ENISA publie tous les certificats, leur statut et les rapports de certification |
| 49 | Les schémas nationaux couverts par l'EUCC cessent 12 mois après l'entrée en vigueur ; les processus engagés s'achèvent dans les 24 mois ; l'article 57, paragraphe 3, du Cybersecurity Act maintient les certificats nationaux existants jusqu'à leur expiration |
Deux modifications ont suivi. Le règlement (UE) 2024/3144 du 18 décembre 2024 a ajouté un document état de l'art sur l'accréditation des organismes de certification et modifié celui des centres d'évaluation. Le règlement (UE) 2025/2462 du 8 décembre 2025 porte sur les définitions, la certification de séries de produits TIC, la continuité d'assurance et des documents état de l'art mis à jour ; l'ENISA indique quelles versions s'appliquent.
EUCC et Cyber Resilience Act
Section intitulée « EUCC et Cyber Resilience Act »Le CRA, règlement (UE) 2024/2847, est en vigueur ; son chapitre IV sur les organismes notifiés s'applique depuis le 11 juin 2026, les obligations de signalement de l'article 14 depuis le 11 septembre 2026 et le reste à partir du 11 décembre 2027. Trois dispositions concernent l'EUCC :
- Article 27, paragraphe 8 : les produits certifiés dans un schéma européen de certification de cybersécurité sont présumés conformes aux exigences essentielles de l'annexe I dans la mesure où le certificat les couvre.
- Article 27, paragraphe 9 : la Commission peut préciser par acte délégué les schémas utilisables ; un certificat au moins « substantiel » dispense alors de l'évaluation par un tiers pour les exigences qu'il couvre.
- Article 8, paragraphe 1 : la Commission peut exiger un certificat européen au moins « substantiel » pour les produits critiques de l'annexe IV : dispositifs matériels avec boîtier de sécurité, passerelles de compteurs intelligents et dispositifs destinés à des usages de sécurité avancés, cartes à puce ou dispositifs similaires, y compris les éléments sécurisés.
Voir le guide Cyber Resilience Act pour les voies de conformité.
France : ANSSI et CSPN
Section intitulée « France : ANSSI et CSPN »L'ANSSI est membre émetteur du CCRA et publie les certificats délivrés au titre de son schéma Critères Communs comme de la CSPN, schéma national français qui ne suit pas ISO/IEC 15408 et reste hors du CCRA. Voir le guide CSPN ANSSI pour la comparaison.
Affirmations que les textes contredisent
Section intitulée « Affirmations que les textes contredisent »| Affirmation courante (y compris dans des versions antérieures de cette page) | Ce que disent les textes |
|---|---|
| ISO/IEC 15408:2022 est l'édition en vigueur | ISO/IEC 15408-1 à -4:2026 et 18045:2026 ont été publiées le 19 mai 2026, la partie 5 le 28 avril 2026 ; le catalogue IEC indique 15408-1:2022 retirée le 19 mai 2026. Le portail CCRA publie toujours CC:2022 R1 |
| Les CC ont connu les versions 2.x, 3.x et 4.x avant 2022 | Il n'existe pas de CC 4.x. CC v3.1 Release 5 est la dernière révision v3.1, suivie directement de CC:2022 |
| Au-delà d'EAL 2 plus ALC_FLR, un cPP garantit la reconnaissance CCRA au niveau du certificat | Un cPP est limité aux activités d'assurance jusqu'à EAL 4 inclus et ALC_FLR (article 2), normalement EAL 2 (annexe K). Les certificats supérieurs portent « CCRA recognition for components up to EAL 2 and ALC_FLR only » |
| EAL 3 comprend une analyse des canaux cachés ; EAL 5 une modélisation formelle partielle | CC:2022 Partie 5 ne contient aucune famille de canaux cachés dans aucun EAL. Le modèle formel de politique de sécurité ADV_SPM.1 commence à EAL 6 |
| Le NCSC britannique est membre émetteur de certificats | La page des membres du CCRA classe le Royaume-Uni parmi les membres consommateurs |
| Le schéma néerlandais est TÜV Rheinland Nederland ; le schéma coréen est le KCMVP sous la tutelle du NIS | La page des membres indique la Dutch Authority for Digital Infrastructure, et l'IT Security Certification Center du National Security Research Institute pour la Corée |
| La NCCA délivre les certificats EUCC au nom de l'Union | Les organismes de certification accrédités délivrent les certificats EUCC (article 9) ; la NCCA les autorise pour « élevé » (article 21) et l'ENISA publie les certificats (article 42) |
| Le « futur » CRA reconnaît les certificats EUCC comme présomption de conformité | Le CRA est en vigueur depuis 2024. L'article 27, paragraphe 8, ne donne une présomption que pour les exigences couvertes par un certificat, et l'article 27, paragraphe 9, renvoie à des actes délégués pour préciser les schémas utilisables |
| SOG-IS reconnaissait tout certificat jusqu'à EAL 7 | Le MRA SOG-IS v3.0 reconnaît EAL 1 à EAL 4 ; les niveaux supérieurs seulement dans les domaines techniques convenus |
| L'EUCC remplace « progressivement » les schémas nationaux | L'article 49 fixe des dates : les schémas nationaux couverts par l'EUCC ont cessé le 27 février 2025, les processus engagés devant s'achever au plus tard le 27 février 2026 |
Points pratiques
Section intitulée « Points pratiques »| Point | Ce qu'il faut vérifier |
|---|---|
| Quelle édition citer | Pour un certificat CCRA, la version appliquée par le schéma (CC:2022 R1 et errata v1.2 sur le portail) ; pour l'EUCC, les références ISO/IEC 15408 et 18045 du règlement et des documents état de l'art |
| Marché visé | Hors UE, la reconnaissance CCRA dépend de la portée de l'article 2. Dans l'UE, un nouveau certificat CC est un certificat EUCC |
| AVA_VAN.4 ou 5 en EUCC | Seulement dans un domaine technique, sous un PP état de l'art, ou par dérogation approuvée (article 7, paragraphe 3) |
| Un cPP pour la catégorie | Consulter la liste des iTC et des cPP sur le portail dès le lancement du projet |
| Périmètre de la TOE | Le certificat ou le rapport de certification indique si tout le produit ou seulement certaines parties ont été certifiés |
| Preuves de cycle de vie | Les familles ALC croissent avec l'EAL (ALC_DVS.2 à partir d'EAL 6, ALC_TAT à partir d'EAL 4) ; les augmentations des cartes à puce ajoutent souvent ALC_DVS.2 |
| Anciens PP v3.1 | Utilisables dans une ST CC:2022 jusqu'au 31 décembre 2027 |
Communauté
Section intitulée « Communauté »L'International Common Criteria Conference (ICCC) figure sur le portail comme la rencontre des organismes de certification, des laboratoires et des développeurs. L'édition 2026 s'est tenue à Rome du 28 septembre au 1er octobre 2026. Voir le glossaire spilma pour les définitions des termes CC.
Voir aussi
Section intitulée « Voir aussi »- Cybersécurité produit : obligation, évaluation, label
- DO-326A et ED-202A: cybersécurité avionique
- PSA Certified: sécurité IoT pilotée par Arm
- SESIP: méthodologie d'évaluation cybersécurité IoT
- TPM 2.0 et sécurité matérielle TCG
- FIPS 140-3 : validation des modules cryptographiques
- CSPN et ANSSI Visa : cybersécurité française
- CMMC et UK Cyber Essentials: baselines cyber de défense
- EMVCo et PCI PTS : certifier un terminal de paiement
Synthèse
Section intitulée « Synthèse »Les Common Criteria existent désormais sous la forme d'ISO/IEC 15408:2026 et d'ISO/IEC 18045:2026 côté ISO, et de CC:2022 Release 1 côté CCRA. Les paquets EAL mesurent la profondeur de l'évaluation au moyen de composants comme AVA_VAN, que l'EUCC utilise pour définir ses niveaux « substantiel » et « élevé ». La reconnaissance CCRA entre pays s'arrête à EAL 2 plus ALC_FLR ou à un cPP. Dans l'UE, SOG-IS n'émet plus de certificats et l'EUCC est le schéma de référence, sur lequel le CRA peut s'appuyer pour les produits critiques.
Sources & références
- Common Criteria Portal, publications : CC:2022 Release 1, CEM:2022, errata, documents support, Common Criteria Recognition Arrangement www.commoncriteriaportal.org/cc/index.cfm
- CCMC-2023-04-001, politique de transition vers CC:2022 et CEM:2022 (20 avril 2023), CCRA Management Committee www.commoncriteriaportal.org/files/ccfiles/CC2022CEM2022TransitionPolicy.pdf
- CC:2022 Partie 5, paquets prédéfinis d'exigences de sécurité (tableaux EAL), novembre 2022, Common Criteria Recognition Arrangement www.commoncriteriaportal.org/files/ccfiles/CC2022PART5R1.pdf
- Arrangement de reconnaissance des certificats Common Criteria (CCRA), 2 juillet 2014, ratifié le 8 septembre 2014, Common Criteria Recognition Arrangement www.commoncriteriaportal.org/files/CCRA%20-%20July%202,%202014%20-%20Ratified%20September%208%202014.pdf
- Membres du CCRA (émetteurs et consommateurs), Common Criteria Recognition Arrangement www.commoncriteriaportal.org/ccra/members/index.cfm
- CCMC-011 v1.0, coexistence CCRA et EUCC (19 mars 2025), CCRA Management Committee www.commoncriteriaportal.org/files/supdocs/CCMC-011-v1.0-2025-Mar-19-CCRA%20and%20EUCC%20Co-existence.pdf
- International Technical Communities et collaborative Protection Profiles, Common Criteria Recognition Arrangement www.commoncriteriaportal.org/communities/index.cfm
- ISO/IEC 15408-1:2026, Partie 1 : introduction et modèle général (édition 5.0, 19 mai 2026), IEC Webstore (ISO/IEC JTC 1/SC 27) webstore.iec.ch/en/publication/113680
- ISO/IEC 15408-1:2022 (édition 4.0, 9 août 2022, retirée le 19 mai 2026), IEC Webstore (ISO/IEC JTC 1/SC 27) webstore.iec.ch/en/publication/78355
- ISO/IEC 15408-5:2026, Partie 5 : paquets prédéfinis d'exigences de sécurité (édition 2.0, 28 avril 2026), IEC Webstore (ISO/IEC JTC 1/SC 27) webstore.iec.ch/en/publication/113445
- ISO/IEC 18045:2026, exigences et méthodologie pour l'évaluation de la sécurité IT (édition 4.0, 19 mai 2026), IEC Webstore (ISO/IEC JTC 1/SC 27) webstore.iec.ch/en/publication/113678
- Règlement d'exécution (UE) 2024/482 établissant le schéma EUCC, EUR-Lex eur-lex.europa.eu/eli/reg_impl/2024/482/oj
- Règlement d'exécution (UE) 2024/3144 modifiant l'EUCC (documents état de l'art sur l'accréditation), EUR-Lex eur-lex.europa.eu/eli/reg_impl/2024/3144/oj
- Règlement d'exécution (UE) 2025/2462 modifiant l'EUCC (séries de produits, continuité d'assurance, documents état de l'art), EUR-Lex eur-lex.europa.eu/eli/reg_impl/2025/2462/oj
- Règlement (UE) 2019/881 Cybersecurity Act, base juridique de l'EUCC, EUR-Lex eur-lex.europa.eu/eli/reg/2019/881/oj
- Règlement (UE) 2024/2847 Cyber Resilience Act, articles 8 et 27 et annexe IV, EUR-Lex eur-lex.europa.eu/eli/reg/2024/2847/oj
- Page du schéma EUCC : acte d'exécution, modifications et documents état de l'art, ENISA certification.enisa.europa.eu/certification-library/eucc-certification-scheme_en
- Accord de reconnaissance mutuelle SOG-IS, portail officiel et domaines techniques, Senior Officials Group Information Systems Security www.sogis.eu/
- Accord de reconnaissance mutuelle SOG-IS version 3.0 (janvier 2010), Senior Officials Group Information Systems Security www.sogis.eu/documents/mra/20100107-sogis-v3.pdf
- Les 25 ans du National Information Assurance Partnership, National Security Agency www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3449329/national-information-assurance-partnership-celebrates-25-years/
- ANSSI, solutions certifiées et qualifiées (certificats CSPN et Critères Communs), ANSSI cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/
Questions fréquentes
- Que sont les Common Criteria et à quoi sert ISO/IEC 15408 ?
- Les Common Criteria (CC) sont le cadre d'évaluation de la sécurité des produits informatiques. ISO/IEC 15408 contient les critères (composants fonctionnels et d'assurance, niveaux d'assurance d'évaluation) et ISO/IEC 18045 la méthodologie d'évaluation (CEM). Les pays du CCRA publient le même contenu sous le nom CC:2022 Release 1 et CEM:2022. Un laboratoire agréé évalue le produit et un organisme de certification délivre le certificat.
- Quelle édition est en vigueur, 2022 ou 2026 ?
- L'ISO et l'IEC ont publié ISO/IEC 15408-1 à -4:2026 et ISO/IEC 18045:2026 le 19 mai 2026, et ISO/IEC 15408-5:2026 le 28 avril 2026 ; les éditions 2022 sont retirées. Le Common Criteria Portal, consulté le 7 octobre 2026, publie toujours CC:2022 Release 1 avec l'errata v1.2 comme version CCRA. CC v3.1 Release 5 ne pouvait servir qu'aux évaluations démarrées au plus tard le 30 juin 2024.
- Quelle est la différence entre un Protection Profile et une Security Target ?
- Un Protection Profile (PP) énonce des exigences de sécurité indépendantes de toute implémentation pour une catégorie de produits. Une Security Target (ST) énonce les exigences d'un produit précis (la TOE). Une ST peut déclarer la conformité à des PP ; CC:2022 définit trois types de conformité : exacte, stricte et démontrable. Un collaborative PP (cPP) est un PP élaboré par une International Technical Community reconnue par le CCRA.
- Jusqu'à quel niveau les certificats sont-ils reconnus dans le CCRA ?
- L'article 2 du CCRA de 2014 couvre les certificats revendiquant EAL 1 à 2 plus ALC_FLR, ou un cPP dont les activités d'assurance sont choisies parmi les niveaux jusqu'à EAL 4 inclus plus ALC_FLR. Un certificat qui revendique davantage (EAL 4 augmenté d'AVA_VAN.5, par exemple) reste valable, mais le logo CCRA porte alors la mention « CCRA recognition for components up to EAL 2 and ALC_FLR only ».
- Que sont les niveaux EAL et comment correspondent-ils à l'EUCC ?
- EAL 1 à EAL 7 sont les paquets d'assurance prédéfinis d'ISO/IEC 15408-5. Ils mesurent la profondeur de l'évaluation, pas la robustesse du produit. Le règlement EUCC fonde ses deux niveaux sur le composant d'analyse de vulnérabilités : AVA_VAN.1 ou 2 donne « substantiel » (EAL 1 à EAL 3 dans leur définition standard) et AVA_VAN.3, 4 ou 5 donne « élevé » (EAL 4 à EAL 7). AVA_VAN.4 et 5 en EUCC exigent un domaine technique, un PP état de l'art ou une dérogation approuvée par l'autorité nationale.
- Qu'est devenu SOG-IS ?
- Le schéma EUCC s'applique depuis le 27 février 2025. L'article 49 du règlement d'exécution (UE) 2024/482 a mis fin aux schémas CC nationaux couverts par l'EUCC 12 mois après son entrée en vigueur, les processus déjà engagés pouvant aboutir jusqu'au 27 février 2026. Le site SOG-IS indique que SOG-IS a cessé d'émettre des certificats à compter du 27 février 2026. Les certificats nationaux existants restent valables jusqu'à leur date d'expiration (Cybersecurity Act, article 57, paragraphe 3).
- Les Common Criteria sont-ils obligatoires pour le marquage CE ou le CRA ?
- Pas aujourd'hui en règle générale. La certification EUCC est volontaire et l'article 6 du règlement EUCC interdit l'autoévaluation. Dans le CRA, l'article 27, paragraphe 8, donne une présomption de conformité pour les parties de l'annexe I couvertes par un certificat européen, l'article 27, paragraphe 9, permet à la Commission de préciser par acte délégué les schémas utilisables, et l'article 8, paragraphe 1, lui permet d'exiger un certificat au moins « substantiel » pour les produits critiques de l'annexe IV (boîtiers de sécurité, passerelles de compteurs intelligents, cartes à puce et éléments sécurisés).
- Quelle est la différence entre la CSPN et les Common Criteria à l'ANSSI ?
- La CSPN est un schéma national français d'évaluation géré par l'ANSSI, qui ne suit pas ISO/IEC 15408 et reste hors du CCRA. Les évaluations Common Criteria suivent ISO/IEC 15408 et ISO/IEC 18045 et peuvent bénéficier d'une reconnaissance internationale. L'ANSSI publie les deux listes de certificats. Voir le guide CSPN dédié.